BDU:2021-03488

Уязвимость синтаксического анализатора PyYAML, связанная с недостаточной проверкой вводимых данных, позволяющая нарушителю выполнить произвольный код

Опубликовано: 2021-07-08

Описание

Уязвимость синтаксического анализатора PyYAML связана с недостаточной проверкой введенных пользователем данных при обработке ненадежных файлов YAML с помощью метода full_load или загрузчика FullLoader. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специального сформированного файла

Затрагиваемое ПО и версии

РЕД ОС (7.2 Муром)PyYAML (от 5.1 до 5.3.1)Astra Linux Special Edition (1.7)Astra Linux Special Edition (4.7)ОСОН ОСнова Оnyx (до 2.12)

Способ устранения

Использование рекомендаций:
Для Ред ОС:
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/

Для PyYAML:
Обновление программного обеспечения до актуальной версии

Обновление программного обеспечения pyyaml до версии 5.3.1-5osnova2u1

Для ОС Astra Linux:
обновить пакет pyyaml до 5.1.2-1+ci1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0319SE17

Для ОС Astra Linux:
обновить пакет pyyaml до 5.1.2-1+ci1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-0422SE47

Оценка CVSS

Балл	10 — критическая опасность

Источники и патчи

https://redos.red-soft.ru/updatesec/https://www.cybersecurity-help.cz/vdb/SB2021070403 https://www.securitylab.ru/vulnerability/521924.php https://github.com/yaml/pyyaml/pull/472 https://github.com/yaml/pyyaml/issues/420 https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.12/https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0319SE17 https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-0422SE54

Проверьте безопасность своего сайта и почты → Полная проверка домена